🇰🇷 한글 설명
AncoraThemes Hanani 워드프레스 테마에서 PHP 파일 포함 문장의 파일명이 적절히 검증되지 않아 로컬 파일 인클루전(LFI) 취약점이 발생합니다. 공격자는 서버의 임의 파일을 읽거나 실행하여 민감한 정보를 탈취하거나 시스템을 손상시킬 수 있습니다. 버전 1.2.11 이하가 영향을 받습니다.
💡 쉬운 설명
Hanani 테마에서 파일을 불러오는 기능이 안전하지 않아서 공격자가 서버의 숨겨진 파일들을 읽을 수 있습니다. 이를 통해 데이터베이스 설정, 비밀번호 등 민감한 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in AncoraThemes Hanani hanani allows PHP Local File Inclusion.This issue affects Hanani: from n/a through <= 1.2.11.
📍 영향받는 시스템
AncoraThemes Hanani 워드프레스 테마 버전 1.2.11 이하
⚔️ 공격 벡터
특수한 파라미터로 경로 탐색(path traversal) 공격을 수행하여 서버의 임의 파일 접근
🛡️ 대응 방법
Hanani 테마를 1.2.12 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.2.11 이하면 취약함, 1.2.12 이상이면 패치됨
grep -r 'Version:' /var/www/html/wp-content/themes/hanani/style.css | grep -oP 'Version: \K[0-9.]+'